PHP图像上传问题

Question

<td valign="top">
<input type="hidden" name="MAX_FILE_SIZE" value="12485760" />
Image?</td>
<td><input type="file" name="image">

$path = "uploads/";
$path .= basename($_FILES['image']['name']);

$path = addslashes($path);
$name = $_FILES['image']['name'];

echo $path;

move_uploaded_file($_FILES['image']['tmp_name'], $path);

上面的代码应该可以正常工作，因为我有一个非常相似的代码。 但是，它似乎并没有从表单（最重要的代码）中挑选任何东西。 如果有人能指出我是如何成为一个傻瓜并打破这种情况，我将不胜感激。

Answer 1

确保在<form>标记上具有属性enctype="multipart/form-data" 。

Answer 2

您知道这是完全不安全的，对吧？ 您可能只能在仅受信任用户的Intranet上使用它，否则肯定会遇到此问题。

无法依靠file ['name']包含可用作文件名的任何内容，攻击者可以轻松地将其设置为包括“ ..”路径部分的内容，以覆盖上载文件夹之外的文件。 而且，通过上传扩展名为.php的文件，他们很可能可以在您的服务器上执行任意代码。

如果您完全使用file ['name']，则必须对其进行严格的清理（例如，删除所有非字母数字字符并自己添加适当的文件扩展名），并且您将不得不处理根本不获取文件名的可能性。 （在这种情况下，您必须用随机数补一）。

“ echo $ path”还为您提供HTML注入，从而导致跨站点脚本攻击。

addslashes（）不能保护您免受目录遍历或HTML注入的侵害。 它也无法正确地转义SQL字符串，这是其最初的目的。 一个好的经验法则是，任何使用addslashes（）的应用程序（通过magic_quotes显式地或隐式地）都是错误的。